사물인터넷(IoT) 기능을 탑재한 로봇청소기와 IP카메라 등이 빠르게 늘고 있지만 국내에는 반드시 지켜야 할 최소한의 보안 기준도 갖추지 못한 것으로 나타났다.
제조·수입업자의 정보보호조치 의무를 2020년 법률에 담았음에도 불구하고 정부가 6년째 명확한 기준을 마련하지 못한 탓이다. 개선 명령이나 사후 관리 등 절차도 규정돼 있지 않아 정부 차원의 독자적 실태점검조차도 불가능한 상황이다.
국회입법조사처가 5월 과학기술정보통신부로부터 제출받은 자료에 따르면 최근 5년간 사물인터넷(IoT) 보안인증 건수는 연 평균 90건에 불과한 것으로 나타났다. 자율인증 방식으로 450여건의 IoT 인증 가운데 가전 분야 인증 건수는 5년간 10건에 불과했다. 통신 분야 역시 7건 인증에 그쳤다. 인증을 받지 않아도 별도의 제재나 불이익이 없는 탓이다.
최근 가전 시장에서는 스마트홈 플랫폼 확산과 더불어 IoT 가전이 빠르게 증가하고 있다. 삼성전자에 따르면 지난해말 기준 국내 스마트싱스 등록 기기는 2000만대를 넘었다. 전년 대비 약 30% 증가했다. 특정 플랫폼에 등록된 기기만도 1년만에 수백만대 가량이 늘어나고 있는 추세다.
정작 국내에는 최소한의 보안 장치도 갖춰지지 않은 상황이다. 국회는 2020년 정보통신망법을 개정해 정부가 IoT기기 제조·수입업자에 구체적인 보호조치를 권고할 수 있는 근거를 마련했다. 하지만, 정부는 법 개정 이후 6년이 지나도록 구체적인 기준을 지침에 반영하지 않고 있다. 별도 지침 없이 업계 자율의 보안인증을 맡겼지만 결과는 5년간 10건에 그칠 정도로 성과는 초라하다.
시중에 유통 중인 제품을 점검할 수 있는 체계도 없다. 지난해 실시한 로봇청소기 보안 실태조사가 사실상 처음 실시한 점검이다. 이마저도 정부가 직접 점검할 근거를 제 때 만들지 못해 한국소비자원을 통해 수행했다.
반면, 해외에서는 IoT 제품의 시장 진입 단계부터 최소 보안요건을 의무화하는 추세다. 영국은 2024년부터 소비자용 IoT 제품에 범용 초기 비밀번호 사용 금지, 보안 취약점 신고를 위한 제조사 연락처 공개, 보안 업데이트 지원 기간 공개 등을 의무화했다. 유럽연합(EU)도 관련 제도를 내년 말부터 시행할 예정이다.
국회입법조사처는 모든 IoT 기기에 공통으로 적용할 최소 보안기준을 우선 마련해야 한다는 입장이다.
강은수 입법조사처 입법조사관은 “국민 안전에 미치는 영향이 큰 고위험 IoT 기기는 보안인증을 단계적으로 의무화할 필요가 있다”며 “위험도와 사회적 파급효과에 따라 단계적으로 확대하는 것은 중소·영세 제조업체 등 산업계의 부담을 완화하면서도 실질적인 보안 수준 향상을 위한 현실적인 대안이 될 수 있을 것”이라고 제안했다.
류근일 기자 ryuryu@etnews.com
